Trình gỡ lỗi cho Iptables

Tôi đang tìm kiếm một cách dễ dàng để theo dõi một gói thông qua các quy tắc iptables. Đây không phải là quá nhiều về việc đăng nhập, vì tôi không muốn đăng nhập tất cả lưu lượng truy cập (và tôi chỉ muốn có các mục tiêu LOG ​​cho rất ít quy tắc).

Một cái gì đó giống như Wireshark cho Iptables. Hoặc thậm chí có thể là một cái gì đó tương tự như một trình sửa lỗi cho ngôn ngữ lập trình.

Cảm ơn Chris

Lưu ý: Nó không phải là một công cụ GUI ưa thích. Nhưng nó phải làm nhiều hơn là chỉ hiển thị một bộ đếm gói hoặc như vậy.

Cập nhật: Gần như chúng ta không thể tìm thấy bất cứ thứ gì cung cấp chức năng được yêu cầu. Trong trường hợp đó: Ít nhất hãy tìm một kỹ thuật tốt dựa trên ghi nhật ký iptables - có thể dễ dàng bật và tắt và không cần phải viết các quy tắc iptables một cách dự phòng (phải viết cùng một quy tắc cho -j LOGvà -j ...)

Tôi không thể nghĩ ra một giải pháp trực tiếp, nhưng tôi có thể nghĩ ra một cách để theo dõi một gói tin.

1. Ghi nhật ký từng quy tắc bằng chỉ thị tiền tố nhật ký (--log-prefix "Quy tắc 34")
2. Tạo một gói thử nghiệm hoặc luồng gói bằng scacco và đặt trường TOS thành một cái gì đó duy nhất
3. grep đầu ra tệp nhật ký cho cài đặt TOS đó và xem quy tắc nào đã ghi lại nó.

Nếu bạn có một kernel và phiên bản iptables đủ gần đây, bạn có thể sử dụng mục tiêu TRACE (Có vẻ như được tích hợp trên ít nhất Debian 5.0). Bạn nên đặt các điều kiện theo dõi của mình càng cụ thể càng tốt và vô hiệu hóa bất kỳ quy tắc TRACE nào khi bạn không gỡ lỗi vì nó tạo ra nhiều thông tin cho nhật ký.

TRACE
Mục tiêu này đánh dấu các gói để hạt nhân sẽ ghi lại mọi quy tắc khớp với các gói khi chúng đi qua các bảng, chuỗi, quy tắc. (Mô-đun ipt_LOG hoặc ip6t_LOG là bắt buộc để ghi nhật ký.) Các gói được ghi với tiền tố chuỗi: "TRACE: tablename: chainname: type: rulenum" trong đó loại có thể là "quy tắc" cho quy tắc đơn giản, "return" cho quy tắc ngầm ở cuối chuỗi do người dùng xác định và "chính sách" cho chính sách của chuỗi được xây dựng. Nó chỉ có thể được sử dụng trong bảng thô.

Nếu bạn thêm quy tắc như thế này

iptables -t raw -A PREROUTING -p tcp --destination 192.168.0.0/24 --dport 80 -j TRACE
iptables -t raw -A OUTPUT -p tcp --destination 192.168.0.0/24 --dport 80 -j TRACE

Bạn sẽ được cung cấp đầu ra trông như thế này.

# cat /var/log/kern.log | grep 'TRACE:'
Mar 24 22:41:52 enterprise kernel: [885386.325658] TRACE: raw:PREROUTING:policy:2 IN=eth0 OUT= MAC=00:1d:7d:aa:e3:4e:00:04:4b:05:b4:dc:08:00 SRC=192.168.32.18 DST=192.168.12.152 LEN=52 TOS=0x00 PREC=0x00 TTL=128 ID=30561 DF PROTO=TCP SPT=53054 DPT=80 SEQ=3653700382 ACK=0 WINDOW=8192 RES=0x00 SYN URGP=0 OPT (020405B40103030201010402)
Mar 24 22:41:52 enterprise kernel: [885386.325689] TRACE: mangle:PREROUTING:policy:1 IN=eth0 OUT= MAC=00:1d:7d:aa:e3:4e:00:04:4b:05:b4:dc:08:00 SRC=192.168.32.18 DST=192.168.12.152 LEN=52 TOS=0x00 PREC=0x00 TTL=128 ID=30561 DF PROTO=TCP SPT=53054 DPT=80 SEQ=3653700382 ACK=0 WINDOW=8192 RES=0x00 SYN URGP=0 OPT (020405B40103030201010402)
Mar 24 22:41:52 enterprise kernel: [885386.325713] TRACE: nat:PREROUTING:rule:1 IN=eth0 OUT= MAC=00:1d:7d:aa:e3:4e:00:04:4b:05:b4:dc:08:00 SRC=192.168.32.18 DST=192.168.12.152 LEN=52 TOS=0x00 PREC=0x00 TTL=128 ID=30561 DF PROTO=TCP SPT=53054 DPT=80 SEQ=3653700382 ACK=0 WINDOW=8192 RES=0x00 SYN URGP=0 OPT (020405B40103030201010402)
Mar 24 22:41:52 enterprise kernel: [885386.325731] TRACE: nat:nat.1:rule:1 IN=eth0 OUT= MAC=00:1d:7d:aa:e3:4e:00:04:4b:05:b4:dc:08:00 SRC=192.168.32.18 DST=192.168.12.152 LEN=52 TOS=0x00 PREC=0x00 TTL=128 ID=30561 DF PROTO=TCP SPT=53054 DPT=80 SEQ=3653700382 ACK=0 WINDOW=8192 RES=0x00 SYN URGP=0 OPT (020405B40103030201010402)
Mar 24 22:41:52 enterprise kernel: [885386.325731] TRACE: mangle:INPUT:policy:1 IN=eth0 OUT= MAC=00:1d:7d:aa:e3:4e:00:04:4b:05:b4:dc:08:00 SRC=192.168.32.18 DST=192.168.32.10 LEN=52 TOS=0x00 PREC=0x00 TTL=128 ID=30561 DF PROTO=TCP SPT=53054 DPT=3128 SEQ=3653700382 ACK=0 WINDOW=8192 RES=0x00 SYN URGP=0 OPT (020405B40103030201010402)
Mar 24 22:41:52 enterprise kernel: [885386.325731] TRACE: filter:INPUT:rule:2 IN=eth0 OUT= MAC=00:1d:7d:aa:e3:4e:00:04:4b:05:b4:dc:08:00 SRC=192.168.32.18 DST=192.168.32.10 LEN=52 TOS=0x00 PREC=0x00 TTL=128 ID=30561 DF PROTO=TCP SPT=53054 DPT=3128 SEQ=3653700382 ACK=0 WINDOW=8192 RES=0x00 SYN URGP=0 OPT (020405B40103030201010402)
Mar 24 22:41:52 enterprise kernel: [885386.325731] TRACE: filter:in_world:rule:1 IN=eth0 OUT= MAC=00:1d:7d:aa:e3:4e:00:04:4b:05:b4:dc:08:00 SRC=192.168.32.18 DST=192.168.32.10 LEN=52 TOS=0x00 PREC=0x00 TTL=128 ID=30561 DF PROTO=TCP SPT=53054 DPT=3128 SEQ=3653700382 ACK=0 WINDOW=8192 RES=0x00 SYN URGP=0 OPT (020405B40103030201010402)
Mar 24 22:41:52 enterprise kernel: [885386.325731] TRACE: filter:in_world_all_c1:return:2 IN=eth0 OUT= MAC=00:1d:7d:aa:e3:4e:00:04:4b:05:b4:dc:08:00 SRC=192.168.32.18 DST=192.168.32.10 LEN=52 TOS=0x00 PREC=0x00 TTL=128 ID=30561 DF PROTO=TCP SPT=53054 DPT=3128 SEQ=3653700382 ACK=0 WINDOW=8192 RES=0x00 SYN URGP=0 OPT (020405B40103030201010402)
Mar 24 22:41:52 enterprise kernel: [885386.325731] TRACE: filter:in_world:rule:2 IN=eth0 OUT= MAC=00:1d:7d:aa:e3:4e:00:04:4b:05:b4:dc:08:00 SRC=192.168.32.18 DST=192.168.32.10 LEN=52 TOS=0x00 PREC=0x00 TTL=128 ID=30561 DF PROTO=TCP SPT=53054 DPT=3128 SEQ=3653700382 ACK=0 WINDOW=8192 RES=0x00 SYN URGP=0 OPT (020405B40103030201010402)
Mar 24 22:41:52 enterprise kernel: [885386.325731] TRACE: filter:in_world_irc_c2:return:2 IN=eth0 OUT= MAC=00:1d:7d:aa:e3:4e:00:04:4b:05:b4:dc:08:00 SRC=192.168.32.18 DST=192.168.32.10 LEN=52 TOS=0x00 PREC=0x00 TTL=128 ID=30561 DF PROTO=TCP SPT=53054 DPT=3128 SEQ=3653700382 ACK=0 WINDOW=8192 RES=0x00 SYN URGP=0 OPT (020405B40103030201010402)

Ba câu trả lời trên một bài:

1) Gỡ lỗi theo kịch bản:

#!/bin/bash
debug() {
    if [ -n "$debug" ]; then
        $@ || echo -e "The command which launched the error:\n$@"
    else
        $@
    fi
}
debug=1
IPTABLES="debug /sbin/iptables"

$IPTABLES -P INPUT DROP
$IPTABLES -P OUTPUT DROP
....

2) Gỡ lỗi bằng syslog

Từ trang web này: http://www.brandonhutchinson.com/iptables_fw.html

If you want to make a syslog entry of dropped packets, change:

# Drop all other traffic
/sbin/iptables -A INPUT -j DROP

To:

# Create a LOGDROP chain to log and drop packets
/sbin/iptables -N LOGDROP
/sbin/iptables -A LOGDROP -j LOG
/sbin/iptables -A LOGDROP -j DROP

# Drop all other traffic
/sbin/iptables -A INPUT -j LOGDROP


You may also want to configure the --log-level to log dropped packets to a separate file instead of /var/log/messages:

# Drop all other traffic
/sbin/iptables -A INPUT -j LOGDROP --log-level debug


/etc/syslog.conf change:

# Send iptables LOGDROPs to /var/log/iptables
kern.=debug                                             /var/log/iptables

Reload the syslogd service for the change to take effect.
/sbin/service syslog reload

3) Không gỡ lỗi, chỉnh sửa iptables đẹp:

Ngoài ra điều này có thể hữu ích: http://www.fwbuilder.org/

có cùng câu hỏi và nhận thấy Zoredache chỉ vào TRACE / ipt_LOG là giải pháp!

Ngoài ra, tôi tìm thấy một tập lệnh chèn / xóa quy tắc LOG trước tất cả các quy tắc iptables hiện đang hoạt động. Tôi đã thử nó và thấy nó là một công cụ thực sự tốt. - Đầu ra tương tự như giải pháp TRACE - Ưu điểm: nó hoạt động trên cấu hình iptables hoạt động, bất kể nó được tải từ đâu. Bạn có thể bật / tắt đăng nhập khi đang bay! Bạn không cần sửa đổi bất kỳ tập lệnh tường lửa nào có thể được tạo bởi Trình tạo tường lửa hoặc công cụ bất cứ điều gì bạn sử dụng ... - Nhược điểm: không sửa đổi, tập lệnh tạo quy tắc LOG cho TẤT CẢ quy tắc hoạt động. Thay vào đó, khi sử dụng quy tắc TRACE, có thể bạn sẽ hạn chế đăng nhập vào địa chỉ / dịch vụ / kết nối mà bạn muốn điều tra xử lý iptables ngay bây giờ.

Dù sao, tôi thích aproach :) Kudos cho Tony Clayton, hãy xem: http://lists.netfilter.org/pipermail/netfilter/2003-March/043088.html

Trân trọng, Chris

Tôi thường sử dụng các bộ đếm gói và byte để xem các quy tắc hoạt động như thế nào và để tìm ra những gì còn thiếu hoặc sai.

Bạn có thể xem chúng bằng "iptables -nvL".

AFAIK một gói IP đi qua chuỗi quy tắc cho đến khi khớp đầu tiên. Vì vậy, tôi không thực sự thấy vấn đề ở đây. Nếu bạn có:

1. quy tắc 1
2. quy tắc 2
3. quy tắc 3 đăng nhập

Và một gói làm cho nó vào nhật ký, nó có nghĩa là quy tắc 3 là quy tắc phù hợp đầu tiên.